Avira Security の Software Update コンポーネントにおける任意ファイル移動の脆弱性の PoC。ユーザーはこの機能を使用して PC 上の古いソフトウェアを更新できます。この機能が使用されると、Avira Security サービスはダウンロードしたファイルを c:\ProgramData\Avira\Security\Temp に配置します。サブディレクトリに最初に作成されるファイルは <random 4 numbers>_<filename> という形式で、その後このファイルは <filename> に移動されます（先頭の数字とアンダースコアは削除されます）。このディレクトリの DACL は、非特権ユーザーが新規作成されたファイルを変更/削除することを許可しませんが、ユーザーがジャンクションを作成することは許可します。これは、より緩い DACL を持つユーザー制御のディレクトリへのジャンクションポイントを作成することで悪用できます。このようにすると、サブディレクトリに新しいファイルが作成された際にユーザーがそれらを変更できるようになり、それを利用して任意のファイル移動を実現し、後で特権サービスによって読み込まれる DLL を system32 ディレクトリに書き込むことで LPE につながります。
現在の PoC は Windows Update サービスに DLL を読み込みます。この DLL はエクスプロイトが既に実行されたかどうかを確認するミューテックスを実装していないため、DLL が複数回読み込まれることで複数の cmd.exe プロセスが作成されます。
https://support.norton.com/sp/static/external/tools/security-advisories.html
